Alerta mundial: falhas no PHP colocam milhões de sites em risco
Por Marcelo Fischer |
:quality(85)/4dce3269-a2a5-4ffb-87c4-289bdee6bbeb.jpeg)
Duas falhas graves de segurança no PHP, uma das linguagens de programação mais utilizadas da internet, colocaram milhões de sites em alerta nesta quarta-feira (21). As vulnerabilidades podem permitir que criminosos invadam servidores sem precisar de senhas, roubem informações e comprometam o funcionamento de páginas.
A equipe responsável pelo PHP já disponibilizou correções de emergência e pede que os administradores atualizem seus servidores imediatamente.
As falhas receberam nota 9,2 de 10 em gravidade, uma das classificações mais altas para problemas de segurança.
O alerta provocou a retirada preventiva de sites governamentais em países europeus, como Países Baixos, Finlândia e França, segundo a Reuters.
A empresa de segurança Cloudflare também relatou tentativas iniciais de exploração das vulnerabilidades. Entretanto, ainda não há confirmação de ataques em massa que tenham comprometido milhões de sites.
O que é PHP e por que tantos sites estão ameaçados?
O PHP é uma linguagem de programação utilizada principalmente para desenvolver sites e aplicações. Ela funciona nos servidores, processando informações antes que o conteúdo seja apresentado no navegador.
Por exemplo, quando alguém acessa uma loja virtual, o PHP pode ser responsável por consultar produtos, atualizar o carrinho e interagir com o banco de dados.
A tecnologia também está por trás de plataformas populares de criação de sites, como WordPress, Drupal e Joomla.
Segundo dados da W3Techs, 69,3% dos sites cuja linguagem de programação do servidor é conhecida utilizam PHP. O WordPress, por sua vez, está presente em mais de 43% das páginas da internet.
Por isso, uma vulnerabilidade na própria linguagem pode afetar desde pequenos blogs e lojas virtuais até portais de notícias e serviços governamentais.
Quais são os riscos das falhas no PHP?
As duas vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, permitem a chamada execução remota de código.
Isso significa que um criminoso pode conseguir executar comandos maliciosos no servidor de um site sem precisar ter uma conta cadastrada ou acesso autorizado ao sistema.
Dependendo das permissões obtidas, o invasor poderia roubar dados, modificar páginas, instalar programas maliciosos ou interromper serviços.
O risco levou diferentes organizações a retirar seus sites do ar preventivamente. Nos Países Baixos, a medida atingiu serviços do governo, o Porto de Roterdã e páginas de hospitais. Na Finlândia, serviços públicos também foram temporariamente interrompidos.
Essas interrupções foram adotadas como precaução e não significam, necessariamente, que os sistemas tenham sido invadidos.
Como proteger um site das falhas no PHP?
A equipe responsável pela linguagem disponibilizou nesta quarta-feira (21) quatro versões que corrigem as vulnerabilidades:
-
PHP 8.5.12;
-
PHP 8.4.27;
-
PHP 8.3.36;
-
PHP 8.2.35.
Segundo o comunicado oficial, todos os administradores devem atualizar suas instalações o mais rápido possível.
Quem utiliza versões antigas, como PHP 8.1 ou anteriores, precisa verificar a disponibilidade de correções com o fornecedor ou migrar para uma versão com suporte.
Vale destacar que atualizar apenas o WordPress, seus temas ou plugins não resolve o problema, já que as vulnerabilidades estão no próprio PHP.
Para quem administra um site, o primeiro passo é verificar a versão instalada no servidor e procurar a empresa responsável pela hospedagem. Em serviços gerenciados, a atualização pode depender diretamente do provedor.
O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) recomenda retirar temporariamente sistemas da internet caso não seja possível atualizar ou aplicar medidas de proteção suficientes.
Apesar da liberação dos patches, o risco continuará para os servidores que permanecerem vulneráveis. Os desenvolvedores do PHP alertam que medidas temporárias não oferecem proteção completa contra as duas falhas.